A
Autoscaling (MIG)
Fonctionnalité des Managed Instance Groups permettant d'ajuster automatiquement le nombre de VMs selon des métriques comme l'utilisation CPU, avec des paramètres min/max configurables. L'autoscaling inclut l'autohealing pour recréer les instances défaillantes détectées par un health check.
Un MIG avec autoscaling CPU à 80% et max=5 VMs scale automatiquement selon la charge, et un health check HTTPS sur le port 443 recréé les instances non réactives.
B
Billing Account User
Rôle IAM GCP permettant de lier des projets à un compte de facturation spécifique, sans accorder d'autres permissions sur les projets eux-mêmes. Ce rôle est distinct de Project Billing Manager et suit le principe du moindre privilège.
Accorder le rôle Billing Account User à l'équipe financière sur le compte de facturation leur permet de lier des projets sans pouvoir modifier les ressources de ces projets.
C
Coldline Storage
Classe de stockage Cloud Storage optimisée pour les données rarement accédées (moins d'une fois par an), offrant le coût de stockage le plus bas parmi les classes chaudes. Recommandée pour les sauvegardes de reprise après sinistre et la rétention de journaux d'audit à long terme.
Des journaux d'audit conservés 3 ans et rarement consultés doivent être stockés en Coldline Storage pour minimiser les coûts par rapport à BigQuery ou Nearline.
compute.osAdminLogin
Rôle IAM Compute Engine accordant un accès SSH administrateur à une instance via OS Login, lié aux comptes Google individuels. Il permet une auditabilité granulaire en identifiant quel utilisateur s'est connecté à quelle instance.
Accorder compute.osAdminLogin au groupe opérationnel avec OS Login activé permet de savoir précisément qui a accédé à chaque instance Compute Engine.
D
DaemonSet
Ressource Kubernetes garantissant qu'exactement un pod s'exécute sur chaque nœud du cluster, y compris les nouveaux nœuds créés par l'autoscaling. Utilisé typiquement pour des agents de surveillance ou de collecte de logs par nœud.
Déployer un agent de monitoring tiers via un DaemonSet dans le namespace kube-system assure qu'il tourne sur chaque nœud GKE, même après un scale-out.
Deployment Manager
Outil GCP d'Infrastructure as Code permettant de définir, déployer et gérer des ressources GCP via des fichiers de configuration YAML, JSON ou Python. Supporte l'option --preview pour valider les dépendances sans déploiement réel.
Lancer gcloud deployment-manager deployments update avec --preview permet de vérifier les dépendances d'un template complexe sans créer de ressources dans le projet.
Dry-run (BigQuery)
Option de la commande BigQuery estimant le volume d'octets qui seront lus (scannés) par une requête sans l'exécuter, permettant d'anticiper le coût avec la tarification à la demande. La facturation est basée sur les octets lus, pas sur les octets retournés.
Utiliser le dry-run sur une requête SELECT avant exécution permet de connaître son coût estimé en octets scannés sans consommer de quota de traitement.
G
gcloud config / configurations
Mécanisme gcloud permettant de gérer plusieurs ensembles de paramètres (projet, région, compte) via des configurations nommées, activables individuellement. Utilisé pour basculer entre environnements ou comptes GCP distincts depuis la ligne de commande.
Créer deux configurations gcloud (une par région) et activer la configuration appropriée avant de lancer des commandes Compute Engine dans chaque région.
H
Health Check (Autohealing)
Mécanisme de surveillance configuré sur un Managed Instance Group pour détecter les instances non réactives et les recréer automatiquement. Distinct des health checks d'équilibrage de charge : l'autohealing agit indépendamment du load balancer.
Configurer un health check HTTP avec un délai initial de 200 secondes sur un MIG dont les VMs mettent 3 minutes à démarrer évite la création prématurée d'instances supplémentaires.
I
Ingress (GKE)
Ressource Kubernetes exposant des services HTTP/HTTPS vers l'extérieur du cluster via un Cloud Load Balancer, gérant le routage, la terminaison SSL/TLS et l'attribution d'une IP publique. Utilisé en combinaison avec un Service NodePort pour exposer des applications GKE publiquement.
Créer un Service NodePort puis un Ingress permet d'exposer une application GKE en HTTPS sur une IP publique avec gestion du certificat SSL.
K
Kubernetes Secret
Objet Kubernetes conçu pour stocker des informations sensibles (mots de passe, tokens, clés) de façon encodée en base64, montables comme variables d'environnement dans les pods. Distinct des ConfigMaps réservés aux données de configuration non sensibles.
Refactoriser un fichier YAML de déploiement GKE pour référencer un Kubernetes Secret plutôt qu'un mot de passe en texte clair suit les bonnes pratiques de sécurité Google.
M
Managed Instance Group (MIG)
Groupe de VMs Compute Engine identiques créées depuis un instance template, supportant l'autoscaling, l'autohealing et les mises à jour progressives (rolling updates). Les paramètres maxSurge et maxUnavailable contrôlent le comportement lors des déploiements.
Un MIG avec maxSurge=1 et maxUnavailable=0 garantit qu'aucune instance n'est indisponible pendant une mise à jour progressive sous trafic en production.
N
Node Auto-Upgrades (GKE)
Fonctionnalité GKE mettant automatiquement à jour les nœuds du cluster vers des versions supportées de Kubernetes, distincte de l'Auto-Repair qui corrige les nœuds défaillants sans mettre à jour leur version. Garantit que le cluster reste sur une version stable et supportée dans le temps.
Activer Node Auto-Upgrades lors de la création d'un cluster GKE assure que les nœuds seront mis à jour vers des versions Kubernetes supportées sans intervention manuelle.
O
OS Login
Fonctionnalité Compute Engine liant les clés SSH aux comptes Google IAM pour l'accès aux instances, permettant une gestion centralisée et auditable des accès SSH sans distribution manuelle de clés. Activé via la métadonnée enable-oslogin=true au niveau instance ou projet.
Activer OS Login sur une instance et accorder le rôle compute.osLogin au groupe dev1 permet un accès SSH révocable et auditable sans gérer de fichiers de clés manuellement.
P
Parallel Composite Uploads (gsutil)
Méthode d'upload gsutil divisant un fichier en morceaux uploadés simultanément vers Cloud Storage, maximisant l'utilisation de la bande passante disponible pour les gros fichiers. Particulièrement efficace lorsqu'on dispose d'une connexion WAN dédiée à haute bande passante.
Utiliser les parallel composite uploads de gsutil pour transférer un fichier de 32 Go sur une connexion WAN 1 Gbps dédiée permet de saturer la bande passante et minimiser le temps de transfert.
Preemptible Instance
Type d'instance Compute Engine disponible jusqu'à 80 % moins chère que les instances standard, pouvant être interrompue par Google à tout moment avec un préavis de 30 secondes. Recommandée pour les workloads tolérants aux interruptions comme les traitements par lots.
Des jobs nocturnes de 2 heures non critiques doivent utiliser des instances préemptibles pour minimiser les coûts de calcul jusqu'à 80 % par rapport aux instances standard.
Private Google Access (restricted.googleapis.com)
Mécanisme permettant aux ressources on-premises sans IP publique d'accéder aux APIs Google (comme Cloud Storage) via une connectivité privée (VPN/Interconnect), en routant le trafic vers la plage 199.36.153.4/30 avec redirection DNS de *.googleapis.com. Évite tout transit par Internet public.
Configurer Private Google Access via restricted.googleapis.com avec Cloud VPN permet à des serveurs bare-metal sans IP publique d'accéder à Cloud Storage sans passer par Internet.
Project Viewer (roles/viewer)
Rôle IAM prédéfini GCP accordant des permissions de lecture sur toutes les ressources d'un projet, sans aucune permission de modification. Rôle standard recommandé pour les auditeurs internes sans nécessiter la création d'un rôle personnalisé.
Accorder le rôle roles/viewer à un auditeur externe lui permet de consulter toutes les ressources du projet sans risque de modification accidentelle.
Pub/Sub Push Subscription
Mode d'abonnement Cloud Pub/Sub où le service pousse automatiquement les messages vers un endpoint HTTP(S) cible comme Cloud Run, en opposition au mode pull où l'application récupère les messages. Recommandé avec le rôle Cloud Run Invoker pour l'authentification sécurisée.
Configurer un abonnement Pub/Sub en mode push vers l'URL du service Cloud Run avec un compte de service ayant le rôle Cloud Run Invoker est la bonne pratique pour traiter des messages sans gestion de processus pull.
S
Shared VPC
Architecture réseau GCP permettant à plusieurs projets d'une organisation de partager un VPC commun géré centralement, facilitant la communication inter-projets sans VPN ni peering. Nécessite une organisation GCP et la désignation d'un projet hôte.
Activer le Shared VPC pour connecter deux projets GCP avec leurs groupes d'instances respectifs permet la communication inter-projets via IP interne sans configuration de routes supplémentaires.
Signed URL (Cloud Storage)
URL temporaire donnant un accès limité dans le temps à un objet Cloud Storage spécifique, sans nécessiter de compte Google pour l'utilisateur final. L'accès expire automatiquement à l'échéance définie, sans action supplémentaire requise.
Générer une Signed URL avec une expiration de 4 heures permet de partager un objet Cloud Storage sensible avec une société externe sans compte Google, avec révocation automatique.
Storage Object Creator (roles/storage.objectCreator)
Rôle IAM Cloud Storage accordant uniquement la permission de créer des objets dans un bucket, sans droits de lecture, modification ou suppression. Représente le minimum de privilèges nécessaire pour des instances Compute Engine devant écrire dans un bucket.
Attribuer le rôle storage.objectCreator aux instances Compute Engine devant écrire dans un bucket respecte le principe du moindre privilège, contrairement à storage.objectAdmin qui donnerait des droits excessifs.
T
Traffic Splitting (App Engine)
Fonctionnalité App Engine permettant de distribuer le trafic entre plusieurs versions d'une application selon des pourcentages configurables via le paramètre --splits. Méthode native pour les déploiements canary sans créer d'applications séparées.
Utiliser gcloud app services set-traffic avec --splits pour envoyer 1 % du trafic vers une nouvelle version permet de tester en production avec un impact minimal et une complexité réduite.
Type Provider (Deployment Manager)
Extension Deployment Manager permettant d'enregistrer des APIs tierces ou des APIs Kubernetes comme types de ressources gérables directement dans les templates Deployment Manager. Permet de créer des ressources Kubernetes (DaemonSets, etc.) depuis Deployment Manager sans services intermédiaires.
Ajouter l'API d'un cluster GKE comme Type Provider dans Deployment Manager permet de créer un DaemonSet dans kube-system au sein du même déploiement qui a créé le cluster.
V
VPC Subnet CIDR (10.0.0.0/8)
Plage d'adresses IP privées RFC 1918 la plus large utilisable pour un sous-réseau VPC personnalisé dans GCP, offrant environ 16 millions d'adresses. Les plages 172.16.0.0/12 et 192.168.0.0/16 sont des alternatives valides mais plus petites.
Lors de la création d'un VPC personnalisé nécessitant la plus grande plage possible, sélectionner 10.0.0.0/8 maximise le nombre d'adresses IP disponibles pour les ressources du sous-réseau.